Was ist die Alva Digital Downloads API?
Die Alva Digital Downloads API ist eine versionierte REST-API — v1 —, die es einem externen System ermöglicht, digitale Downloads in einem Shopify-Shop zu verwalten, ohne den Shopify-Admin zu öffnen. Über sie kann ein Entwickler Dateien erstellen, sie Produkten zuordnen, Bestellungen nachschlagen, Download-URLs ausgeben, Auslieferungs-E-Mails erneut senden und den Lizenzschlüsselbestand prüfen, alles über Standard-HTTPS.
Die API steht neben der Admin-Oberfläche der App, statt sie zu ersetzen. Jede Ressource, die sie berührt — Dateien, Produktzuordnungen, Kategorien, Bestellungen, Lizenzschlüssel-Tags —, sind dieselben Daten, die Ihr Team in Alva von Hand bearbeitet, nur eben aus Code erreichbar. Das macht sie zur Brücke zwischen Alva Digital Downloads und allem anderen, was Ihr Geschäft betreibt.
Was Sie mit der Alva API tun können
Die Alva API deckt den Kern-Auslieferungsworkflow von A bis Z ab. Sie verwaltet Dateien, Produktzuordnungen und Kategorien, schlägt Bestellungen nach und gibt Download-URLs aus, sendet markeneinheitliche Auslieferungs-E-Mails erneut und meldet den Lizenzschlüsselbestand. Dateien können direkt hochgeladen oder aus einer entfernten URL übernommen werden, die Alva für Sie direkt in den Speicher streamt.
Praktisch gesehen kann eine Integration:
- Dateien verwalten — eine Datei direkt hochladen oder Alva eine URL übergeben, woraufhin es das Asset für Sie in den Speicher streamt (Übernahme per entfernter URL), sodass eine große Bibliothek nie erst über Ihre eigenen Server laufen muss.
- Produkte und Kategorien zuordnen — Dateien, Pakete, Links oder Lizenzschlüssel-Tags an Shopify-Produkte anhängen, mit demselben Viele-zu-viele-Modell, das der Admin verwendet.
- Bestellungen nachschlagen und Download-URLs ausgeben — eine Shopify-Bestellung auflösen und eine frische, zeitlich begrenzte Download-URL für den Käufer erzeugen.
- Auslieferungs-E-Mails erneut senden — die Download-E-Mail für eine Bestellung aus Code neu auslösen, ohne etwas von Hand zu bearbeiten.
- Lizenzschlüsselbestand prüfen — vor einem großen Launch auslesen, wie viele Schlüssel für einen Tag übrig sind, sodass Sie nie unbemerkt ausverkauft sind.
Endpoint-Pfade, Request-Bodys und Antwortformate finden sich in der API-Referenz. Dieser Beitrag bleibt auf der Ebene dessen, wofür die API da ist; in der Referenz verdrahten Sie jeden einzelnen Aufruf.
Wie Authentifizierung und API-Schlüssel funktionieren
Die Authentifizierung nutzt shop-spezifische API-Schlüssel. Jede Anfrage trägt ein Bearer-Token, das mit adk_live_ beginnt. Alva Digital Downloads speichert nur einen sha256-Hash des Geheimnisses — niemals den Klartext —, vergleicht ihn in konstanter Zeit und verweigert im Zweifelsfall den Zugang, sodass ein fehlender, fehlerhafter, unbekannter oder widerrufener Schlüssel jeweils dieselbe Nicht-autorisiert-Antwort zurückgibt.
Sie erstellen einen Schlüssel im Alva-Admin, kopieren das Token einmal und speichern es in einem Secret-Manager. Alva behält nur die öffentliche Schlüssel-ID und den Hash, sodass das Klartext-Geheimnis niemals aus Ihrem Konto wiederherstellbar ist. Da jeder Fehlerfall eine identische Antwort zurückgibt, kann ein Angreifer Ihren Shop nicht abtasten, um einen falschen Schlüssel von einem widerrufenen zu unterscheiden.
Geben Sie pro System einen separaten Schlüssel aus und widerrufen Sie jeden davon in dem Moment, in dem eine Integration ausgemustert wird. Ein widerrufener Schlüssel funktioniert sofort über jeden Endpoint hinweg nicht mehr, was das Rotieren von Zugangsdaten zu einer Ein-Klick-Aktion macht statt zu einer koordinierten Migration.
Für Automatisierung im großen Maßstab gebaut
Die Alva API ist darauf ausgelegt, von Maschinen angesteuert zu werden, die Wiederholungsversuche unternehmen. Idempotenzschlüssel sind bei jedem Schreibvorgang erforderlich, mit einem 24-Stunden-Wiederholungsfenster, das eine duplizierte Anfrage in die ursprüngliche Antwort verwandelt statt in einen zweiten Datensatz. Ein Token-Bucket-Ratenbegrenzer schützt den Shop, und jede Antwort gibt eine request_id zur Nachverfolgung zurück.
Idempotenz ist bei Schreibvorgängen nicht optional. Jede Nicht-GET-Anfrage muss einen Idempotency-Key-Header senden; verwenden Sie denselben Schlüssel und denselben Body erneut, spielt Alva sicher das erste Ergebnis ab, statt eine doppelte Datei, Zuordnung oder Zuweisung zu erzeugen. Ein Wiederholungsversuch nach einer abgebrochenen Verbindung ist daher harmlos:
curl https://.../api/v1/mappings \
-H "Authorization: Bearer adk_live_..." \
-H "Idempotency-Key: 2f9c-4b1e-...-e1" \
-H "Content-Type: application/json" \
-d '{ "product_id": "gid://shopify/Product/123", ... }'Über die Idempotenz hinaus deckelt ein Token-Bucket-Ratenbegrenzer Lastspitzen, sodass ein außer Kontrolle geratenes Skript Ihre Auslieferungspipeline nicht überlasten kann, sensible Werte werden aus den Protokollen entfernt, und die Übernahme per entfernter URL läuft hinter einem SSRF-Schutz, der Anfragen an interne Adressen blockiert. Die request_id auf jeder Antwort gibt Ihnen und dem Alva-Support eine einzige Zeichenkette, um einen Aufruf von der Anfrage bis zum Ergebnis nachzuverfolgen.
API oder Shopify Flow: Welcher Weg ist Ihrer?
Alva Digital Downloads bietet Ihnen zwei Wege zu automatisieren. Shopify Flow ist der No-Code-Weg — visuelle Trigger und Aktionen, die Sie im Editor von Shopify zusammenstellen. Die API ist der Code-Weg, für Teams, die programmatische Kontrolle aus ihren eigenen Systemen benötigen. Die meisten Shops brauchen die API nie; Flow deckt die gängigen Automatisierungen ab.
Wenn Ihr Ziel darin besteht, einen betrugsmarkierten Kunden zu taggen, den Zugang bei einer Rückerstattung zu widerrufen oder VIP-Käufer zu belohnen, bauen Sie es visuell — der Leitfaden zu Shopify-Flow-Automatisierungen für digitale Downloads führt durch Alvas Trigger und Aktionen. Greifen Sie zur API, wenn die Logik außerhalb von Shopify liegt: ein ERP, dem Ihr Katalog gehört, ein LMS, das den Kurszugang bereitstellt, oder ein CRM, das synchron bleiben muss. Unter der Haube treiben beide dieselbe Engine hinter Alvas Multi-Channel-Download-Auslieferung an.
Für wen die Alva API gedacht ist
Die Alva API richtet sich an drei Zielgruppen: Entwickler, die Datei- und Zuordnungsarbeiten in großen Mengen skripten möchten, Agenturen, die individuelle oder Headless-Shopify-Storefronts bauen, die digitale Güter ausliefern, und Operations-Teams, die Downloads mit einem externen ERP, LMS oder CRM synchronisieren. Händler mit einem Standard-Shopify-Storefront brauchen sie selten.
Ein Headless-Aufbau kann Shopify als Quelle der Wahrheit für Bestellungen behalten, während die API Download-URLs an ein maßgeschneidertes Frontend ausgibt. Ein Operations-Team kann sein ERP Dateien und Zuordnungen in dem Moment erstellen lassen, in dem ein Produkt ausgeliefert wird, sodass Storefront und Backoffice niemals auseinanderdriften. Der rote Faden ist Kontrolle, die außerhalb des Shopify-Admins entstehen muss.
Nichts davon ist eine Voraussetzung, um digitale Produkte auf Shopify zu verkaufen — der Alva-Admin erledigt das bereits von A bis Z. Die API ist für die Minderheit der Shops, deren Größe oder Architektur dem Durchklicken einer Benutzeroberfläche entwachsen ist.
So erhalten Sie Zugang zur API
Der API-Zugang ist optional freischaltbar und abgesichert. Ein globaler Verfügbarkeitsschalter plus ein shop-spezifischer Schalter bedeuten, dass die API auf Anfrage jeweils für einen Shop freigeschaltet wird, nicht standardmäßig für alle aktiviert. Kontaktieren Sie den Alva-Support, um sie für Ihren Shop einzuschalten. Die API ist auf kostenpflichtigen Tarifen verfügbar und wird schrittweise ausgerollt.
Bitten Sie den Alva-Support, den API-Zugang zu aktivieren, und erstellen Sie dann einen Schlüssel im Alva-Admin. Der Hilfeleitfaden zur Nutzung der externen API führt durch Schlüssel, Idempotenz, Übernahme per entfernter URL und Bestellzuweisungen, und die Version wird mit einer vollständigen API-Referenz, einer herunterladbaren OpenAPI-Spezifikation und einer Postman-Collection ausgeliefert. Prüfen Sie die Tarife, um zu sehen, wo die API angesiedelt ist.
Häufig gestellte Fragen
Die Alva Digital Downloads API ist eine versionierte REST-API, v1, die es einem externen System ermöglicht, digitale Downloads in einem Shopify-Shop zu verwalten, ohne den Shopify-Admin zu nutzen. Über sie kann ein Entwickler Dateien erstellen, sie Produkten zuordnen, Bestellungen nachschlagen, Download-URLs ausgeben, Auslieferungs-E-Mails erneut senden und den Lizenzschlüsselbestand über Standard-HTTPS prüfen.
Nur für Schreibvorgänge. Jede Nicht-GET-Anfrage muss einen Idempotency-Key-Header enthalten, der ein 24-Stunden-Wiederholungsfenster hat, sodass ein wiederholter Aufruf die ursprüngliche Antwort zurückgibt, statt eine doppelte Datei, Zuordnung oder Zuweisung zu erzeugen. Leseanfragen benötigen keinen. Das bewahrt Automatisierungen, die nach einem Netzwerkfehler wiederholen, vor doppelten Änderungen.
Die API nutzt shop-spezifische API-Schlüssel. Jede Anfrage sendet ein Bearer-Token, das mit adk_live_ beginnt. Die App speichert nur einen sha256-Hash des Geheimnisses, niemals den Klartext, vergleicht ihn in konstanter Zeit und verweigert im Zweifelsfall den Zugang, sodass ein fehlender, fehlerhafter, unbekannter oder widerrufener Schlüssel jeweils dieselbe Nicht-autorisiert-Antwort zurückgibt und nicht zu unterscheiden ist.
Shopify Flow ist der No-Code-Automatisierungsweg, aufgebaut aus visuellen Triggern und Aktionen innerhalb von Shopify. Die API ist der Code-Weg, für Teams, die programmatische Kontrolle aus ihren eigenen Systemen benötigen. Nutzen Sie Flow für Automatisierungen, die innerhalb von Shopify leben, und die API, wenn die Logik in einem externen ERP, LMS oder CRM liegt.
Der API-Zugang ist optional freischaltbar und pro Shop abgesichert. Ein globaler Verfügbarkeitsschalter plus ein shop-spezifischer Schalter bedeuten, dass er auf Anfrage einzeln freigeschaltet wird, nicht standardmäßig für alle aktiviert. Kontaktieren Sie den Alva-Support, um ihn für Ihren Shop einzuschalten. Die API ist auf kostenpflichtigen Tarifen verfügbar und wird schrittweise ausgerollt.